10月16日、ブロックチェーンの 9 団体が、量子計算機に備える公開標準をつくる Quantum Alliance を立ち上げました。創設メンバーに Midnight Foundation が入っています。同盟は「量子に備えができている」を測る公開の試験基準と、公開鍵が見えてしまった鍵をどう移すかの参照設計をつくるといいます。Cardano の側では、IOG が耐量子を 2026 年の研究の重点の 1 つに置き、CIP の場でも議論が始まっています。Cardano の保有者にとって、量子への備えは「いつか来る話」から「どの順番で手を打つか」の話に変わりつつあります。
この記事では、リスボン発の共同発表で同盟が何をつくると言っているのかを確かめ、Midnight が加わった意味、よく引かれる「604 万 BTC が露出」という数字の読み方、Cardano の改善提案の現在地を順に整理します。10月12日の Deep Dive「バンカーモード論争、Cardano の鍵はどこまで守れるか」で扱った鍵の話の、続きにあたる内容です。
Quantum Alliance とは
GlobeNewswire で配信されたプレスリリースは、日付をリスボン、2026年10月16日としています。創設に名を連ねたのは次の 9 団体です。
- Quantus — 最初のブロックから米国の耐量子署名の標準 ML-DSA を使うプルーフ・オブ・ワークのチェーン
- American Fortress — 読める名前で送れる、秘匿型の送金アドレスの仕組み Send-to-Name を開発
- Intmax — イーサリアム上のゼロ知識ロールアップ
- Keystone — ネットから切り離して QR コードで署名するハードウェアウォレット
- Midnight Foundation — Cardano とつながるプライバシーのチェーン Midnight を支える財団
- Postquant Labs — 量子計算機の計算資源をつなぐマーケットプレイス Quip Network の開発元
- Abelian — 格子暗号で守るプライバシー重視のレイヤー1
- The Vault — 銀行や企業向けに耐量子の保管環境をつくる会社
- Hacken — セキュリティ監査の会社
名前が出ているのは 10 人で、Postquant Labs からは CEO と CTO の 2 人が加わっています。Quip Network は Postquant Labs の製品で、独立した会員ではありません。また、IOG、Cardano Foundation、Intersect は創設メンバーに入っていません。
同盟が最初に取り組むのは 3 つです。1 つ目は、取引の署名・鍵の管理・コンセンサス・ゼロ知識証明・P2P 通信の 5 つの領域について、「quantum-ready (量子への備えができている)」とは何かを公開の定義にすることです。2 つ目は、どのチームでも自分の実装に当てて確かめられる試験の基準とベンチマークです。3 つ目は移行の参照設計で、公開鍵がすでに露出した鍵、持ち主が動かさなくなった休眠アカウント、耐量子の署名で大きくなる取引の扱いを含みます。成果物はすべて公開するとしています。
作業は 4 つの部会で始まります。稼働中のチェーンが資金と鍵を耐量子の方式へ移す方法を考える「移行」、証明の仕組みを評価する「耐量子のゼロ知識」、鍵の生成・保管・署名から復旧の手順までを扱う「ウォレット」、ウォレットやブリッジが鍵を同じように扱えるようにする「クロスチェーン」です。運営はインターネットの標準化団体 IETF を手本にし、個人でも参加でき、提案は公開の根拠・おおまかな合意・動く実装で前に進みます。企業の規模やトークンの保有量は票の重さに影響しない、とも書かれています。
まだ決まっていないこともはっきりしています。リリースには成果物の期限が書かれていません。10月19日の時点で同盟の公式サイトは見つからず、本文の「提案はこちらから」にあたる部分は、リンク先ではなく「URL」という文字のまま残っています。
Midnight Foundation が加わった意味
共同発表によれば、Midnight Foundation からは CTO のセバスチャン・ギユモ氏が創設の参加者に名を連ねています。同氏のコメントが置かれているのは、リリースのうち「耐量子のゼロ知識」の部会を説明する段落です。
「ゼロ知識の仕組みは、どのチェーンでも最も機微なデータを運んでいます。その安全性の前提も、署名と同じ移行をくぐり抜けなければなりません」「耐量子の証明の仕組みをどう評価するかを今のうちに合意しておけば、あとでどのチームも一人で解かずに済みます」
なお、Midnight Foundation 自身による参加の発表は、10月19日の時点で見つかっていません。参加の事実は、共同発表の本文に並ぶ名前と同氏のコメントで確かめられる範囲です。
この部会が扱う問題を、リリースは具体的に書いています。広く使われている証明の仕組みのうち、ペアリングに向いた楕円曲線の上に組まれたものは、今日の署名と同じ量子への弱さを抱えている。ハッシュにもとづく zk-STARK のような設計はその前提を避けられるが、証明が大きくなる。だから各チームは、大きさと速さと安全性の水準をてんびんにかけている、という整理です。
Midnight はちょうどこの層にいます。Midnight の改善提案の 1 本 (エージェントの身元の標準案 MIP-0029) は、安全性の限界を述べる節で、Midnight の Plonk の実装が BLS12-381 という曲線の暗号の前提を引き継いでいると書いています。BLS12-381 は、リリースのいうペアリングに向いた楕円曲線の 1 つです。プライバシーをゼロ知識証明で守るチェーンにとって、量子への備えは署名を入れ替えるだけでは終わらず、証明の仕組みそのものの問題になります。ギユモ氏の「署名と同じ移行」という言葉は、この点に重なります。
Midnight の側の動きも、この方向を向いています。10月14日の Signal「Midnight ロードマップ、NIGHT ステーキングは2027年1〜3月期」で見たとおり、工程表には量子計算機に対しても安全とされる証明の基盤 Nightstream が置かれ、10〜12月期は証明の生成時間とサイズを縮める最適化が項目になっています。GitHub の Nightstream のリポジトリは、まだ監査を終えていない研究段階のソフトウェアだと明記しています。さらに10月15日付で、Midnight のライトクライアント (全データを持たずにチェーンを確かめる軽い利用者) の設計を求める問題提起 MPS-0048 が出され、目標の 1 つに「量子能力のある攻撃者に対して安全であること」を掲げました。Cardano 上の契約でも検証できることと量子への安全性がぶつかる場合は、量子への安全性を優先するとしています。
同盟の「耐量子のゼロ知識」の部会が評価の物差しをつくれば、Midnight の証明の仕組みもその物差しで測られることになります。物差しをつくる側に Midnight が入ったことの意味は、ここにあります。
「604 万 BTC が露出」の読み方
同盟の発足を伝える記事の多くが引いたのが、「604 万 BTC、供給量の 30.2% が量子に対して露出している」という数字です。リリースもこの数字を引いており、出どころはオンチェーン分析の Glassnode が5月20日に公開した調査です。
Glassnode のいう露出は「保管中の露出」で、公開鍵がすでに分かっている出力に置かれた BTC を数えたものです。量子計算機が鍵を破れるようになったとき、狙われうる候補の大きさを示す数字であって、今すぐ盗める量ではありません。リリースも、こうした攻撃ができる計算機はまだ存在しないと書いています。
604 万 BTC は、性質の違う 2 つに分かれます。
- 構造的な露出 192 万 BTC (供給量の 9.6%) — 出力の形式そのものが公開鍵を見せるもの。初期の P2PK 形式 (サトシ・ナカモト氏の時代のコインを含む)、古いマルチシグ、新しい Taproot 形式がこれにあたります
- 運用上の露出 412 万 BTC (同 20.6%) — 本来はハッシュの裏に隠れる形式なのに、アドレスの使い回しや一部だけの送金などで公開鍵が見えたまま残高が残っているもの
大きいのは運用上の露出のほうで、構造的な露出の約 2.1 倍あります。Glassnode はこちらを、ふつうのアドレス管理で元に戻せる露出だと書いています。「保管中の露出」という定義からいえば、公開鍵の見えていない新しいアドレスへ移した残高は、もう数えられません。ラベルの付いた中で最も大きいのは取引所の残高で、Glassnode はここを移行できる可能性のある大きなまとまりと見ています。
一方、構造的な露出の一部は動かせないかもしれません。持ち主が鍵を失ったり、動かさなくなったりしたサトシ時代のコインは、自分から安全な形式へ移ることができないためです。同盟の移行の部会が「持ち主が鍵を失ったコイン」を検討の対象に挙げているのも、この部分にかかわります。
この 2 つの区別は、Cardano にもそのまま当てはまります。Cardano のアドレスに入っているのは公開鍵そのものではなく、公開鍵を Blake2b-224 というハッシュで短くした値です (CIP-0019)。公開鍵がチェーン上に出るのは、そのアドレスから送金するために署名したときです。10月12日の Deep Dive で見たとおり、委任に署名したステーク鍵の公開鍵もチェーン上にあります。IOG の研究者 4 名が書いた問題提起 CPS-0030 も、「Cardano は多くの公開鍵をチェーン上にさらしており、その一部は長いあいだ使われ続ける」と書いています。
Cardano の現在地
IOG は6月19日、2026 年の研究計画「Cardano Vision 2026」を公開し、3 つの重点の 1 つに耐量子への備えを置きました。中身は次のような項目です。
- ステークプールのブロック生成者を選ぶのに使う VRF (検証可能な乱数関数) の、耐量子版の設計
- 改良した Ouroboros の、端から端までの安全性の証明と試作
- 耐量子への移行戦略を、標準の改善提案 (SIP) として公開すること
- ゼロ知識証明を使って利用者のアドレスを更新する道の検討
計画は耐量子の項目に日付を付けておらず、「スケジュールと機能は確定ではなく、保証されない」と明記しています。ゼロ知識証明でアドレスを更新する道も、まだ検討の段階です。
CIP の場では、問題を定める文書 (CPS) が 2 本そろいました。CPS-0030「Quantum-secure settlement layer」は IOHK の 4 名が書き、8月19日にリポジトリに入りました。状態は Open で、解決策の欄はまだ空です。この文書は脅威の優先順位を 3 段で示しています。最上位は署名の Ed25519 で、支払い用とステーキング用の鍵、ステークプールのコールドキーが含まれます。次がブロック生成者の選出に使う VRF、その次がブロック生成の鍵を前に進める KES です。過去の運用証明書から古い鍵を復元されると、新しく起動したノードを偽のチェーンへ誘導されうる、とも書いています。
もう 1 本の CPS-0027「Approaches to post-quantum signatures」は、MLabs の Koz Ross 氏が書き、5月12日に入りました。対象はスマートコントラクトの言語 Plutus です。Plutus が今用意している署名検証の組み込み関数は Ed25519、secp256k1 の ECDSA、secp256k1 の Schnorr の 3 つで、どれも量子計算機のショアのアルゴリズムで安全でなくなる、という問題を定めています。
解決策の側の CIP は、まだ提案の段階です。
- CIP-0197 (プルリクエスト #1242) — 鍵やアドレスを変えずに、今の鍵の背後にあるシードを知っていることをゼロ知識証明で示す層を足す案。8月7日に提出され、10月19日時点の表示は「作者の対応待ち」です。SIPO では8月24日の Signal と10月12日の Deep Dive で扱いました
- プルリクエスト #1300 — CPS-0027 に答える形で、Plutus に耐量子署名の検証関数を 2 つ足す案。米国の標準の ML-DSA (格子) と SLH-DSA (ハッシュ) を組み込みにするもので、Quantova 社が10月15日に提出しました。採用にはハードフォークが要ると書いており、表示は「Triage (振り分け待ち)」です
決まっていることと、まだ決まっていないことを分けると、次のようになります。決まっているのは、Cardano の基盤層と Plutus のどこが量子に弱いかを定めた文書が公式のリポジトリに入ったことと、IOG が研究計画に移行戦略の公開を組み込んだことです。まだ決まっていないのは、どの署名方式を採るか、移行をいつ行うか、そしてアドレスを新しくする道とゼロ知識証明の層を足す道のどちらで既存の資金を守るかです。2 本の CIP 案は、どちらもまだマージされていません。
保有者が今できること・見ておくこと
まず、手元の ADA を急いで動かす理由は、今のところ一次ソースからは出てきません。共同発表は、こうした攻撃ができる計算機はまだ存在しないと書いており、Glassnode も、攻撃がいつ現実になるかについては立場を取らないとしています。
そのうえで、Glassnode の区別は Cardano の保有者にも役に立ちます。送金に使ったアドレスに残高を置き続けると、そのアドレスの支払い用の公開鍵はチェーン上に出たままになります。これは「運用上の露出」にあたり、使い方で減らせる側の露出です。ステーク鍵は委任すれば必ず公開鍵が出ますが、ステーク鍵だけでは支払い側の ADA は動かせません。量子への備えのために委任をやめる、という話ではありません。
見ておく場所は 3 つです。
- CIP のリポジトリのプルリクエスト #1300 と #1242 — #1300 は CIP 編集者による振り分け (Triage) を終えて CIP 番号が付くか、#1242 は作者の修正版が出るか。どちらも GitHub の各プルリクエストのページで、ラベルの変化として確かめられます
- IOG の移行戦略 — 研究計画が 2026 年のサイクルの成果に挙げた移行戦略の SIP が、年内に公開されるか。CPS-0030 の解決策の欄が埋まり始めるのも、同じ流れの中です
- Quantum Alliance の最初の成果物 — 公式サイトと提案の受付先が公開されたとき、「quantum-ready」の定義が 5 つの領域をどう線引きするか。Midnight の証明の仕組みや、Cardano の VRF・KES のような合意の鍵が、その定義の中でどう扱われるかが見どころです
同盟の定義が先に出れば、Cardano の移行戦略はその定義と並べて読まれることになります。Midnight は物差しをつくる側に、Cardano の改善提案はその物差しで測られる側に立つことになります。
ことば
- 保管中の露出 — Glassnode の用語で、公開鍵がすでに分かっている出力に置かれた残高のことです。量子計算機が実用になったときに狙われうる候補の大きさを示す数字で、604 万 BTC の大半は使い方で減らせる「運用上の露出」です。
- CPS — Cardano の改善提案の仕組みで、解決策 (CIP) の前に「何が問題か」を定める文書です。耐量子では基盤層の CPS-0030 と Plutus の CPS-0027 がそろい、解決策の CIP がそこに答える順番になります。
- BLS12-381 — ペアリングという計算に向いた楕円曲線で、多くのゼロ知識証明の土台に使われています。Midnight の Plonk もこの曲線の前提に立つため、量子への備えは署名だけでなく証明の仕組みにも及びます。
一次ソース / 関連リンク
Quantum Alliance Forms to Define and Verify Post-Quantum Readiness for the Blockchain Industry（GlobeNewswire・2026年10月16日）（globenewswire.com）
同プレスリリースの全文掲載（Crypto Reporter）
Crypto Reporter
- Keystone 公式 X の告知
https://x.com/KeystoneWallet/status/2111020769891496395
Measuring Bitcoin’s Quantum-Exposed Supply（Glassnode Research・2026年5月20日）
Glassnode Research – Digital Asset Market Intelligence
- CIP-0019 Cardano Addresses
https://github.com/cardano-foundation/CIPs/blob/master/CIP-0019/README.md - MIP-0029 Midnight Agent Identity Standard
https://github.com/midnightntwrk/midnight-improvement-proposals/blob/main/mips/mip-0029-midnight-agent-identity-standard.md - MPS-0048 Enabling Light Clients on Midnight
https://github.com/midnightntwrk/midnight-improvement-proposals/blob/main/mps/mps-0048-enabling-light-clients.md - Nightstream（GitHub）
https://github.com/LFDT-Nightstream/Nightstream - SIPO.TOKYO：バンカーモード論争、Cardano の鍵はどこまで守れるか（2026年10月12日）
https://sipo.tokyo/deep-dive-20261012-f3d05123/ - SIPO.TOKYO：Midnight ロードマップ、NIGHT ステーキングは2027年1〜3月期（2026年10月14日）
https://sipo.tokyo/signal-20261014-f9aadbba/ - SIPO.TOKYO：CIP-0197 で耐量子署名の案が Cardano 改善提案に、5 本が確定扱いへ（2026年8月24日）
https://sipo.tokyo/signal-20260824-53a9b3b9/
